用途：识别当前项目使用的全部语言与框架（含前端与后端），加载本技能 references 目录中对应的安全最佳实践文档，用于编写默认安全的新代码、被动检测既有代码中的重大问题，或在用户要求时生成漏洞报告并建议修复。
主要能力：按文件名格式 <language>-<framework>-<stack>-security.md 查找参考文档，并检查与框架无关的 <language>-general-<stack>-security.md；若前端框架未指定，可参考 javascript-general-web-frontend-security.md。无匹配文档时，可依据已知安全实践判断，但生成报告时应告知用户缺少具体指导。涵盖供应链与依赖安全（npm audit、npx better-npm-audit audit --level moderate、pip-audit、safety check、govulncheck ./...、锁文件完整性、typosquatting、CI 固定版本、SBOM 生成如 npx @cyclonedx/cyclonedx-npm --output-file sbom.json 与 cyclonedx-py environment -o sbom.json）、密钥管理（检测硬编码密钥、提交的 .env、被记录的变量、Docker 构建参数；工具 gitleaks detect --source . --verbose、trufflehog git file://. --since-commit HEAD~20、detect-secrets scan --all-files；建议使用密钥管理器、泄露后轮换、用 git filter-repo 清理历史）。
使用方式：先确定语言与框架，再读取相关参考文件；主要模式是据此编写安全代码，次要模式是被动标记高影响漏洞；用户可要求生成报告，报告写入 security_best_practices_report.md 或用户指定位置，含执行摘要、按严重程度分节、数字 ID、关键项影响说明与代码行号，随后可逐项修复。
适用场景与限制：适用于新项目、既有代码审查与修复。需注意本地开发通常无 TLS，不应把缺少 TLS 报告为漏洞，也不建议 HSTS；Secure Cookie 仅在 TLS 环境设置，否则会破坏应用。修复应逐项进行，避免破坏功能与回归，遵循项目既有提交与测试流程。用户可基于项目文档覆盖最佳实践，此时可提示但不强行反对。资料未提供具体收费、价格与平台信息。